Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\f24e4e87-ef91-4694-b2d0-f02ac1a18ed7-11.job
- %WINDIR%\Tasks\f24e4e87-ef91-4694-b2d0-f02ac1a18ed7-3.job
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\comh.50847\GoogleUpdate.exe' /silent /install "appguid={f3ff343e-7d29-453c-877a-41f3d4e3d1e4}&appname=1c72557b-e07f-4b05-8049-f73236a2c818&needsadmin=True&lang=en"
- '%TEMP%\nso3.tmp\Wwbdhkqgfgwz.exe'
Завершает или пытается завершить
следующие пользовательские процессы:
- opera.exe
- firefox.exe
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\comh.50847\psuser.dll
- %TEMP%\comh.50847\psmachine.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdate.exe
- %PROGRAM_FILES%\Fraveen 1.4\59601.crx
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdate.dll
- %TEMP%\comh.50847\npGoogleUpdate4.dll
- %TEMP%\comh.50847\GoogleUpdateHelper.msi
- %TEMP%\comh.50847\GoogleUpdateBroker.exe
- %TEMP%\comh.50847\GoogleUpdateOnDemand.exe
- %TEMP%\comh.50847\goopdateres_en.dll
- %TEMP%\comh.50847\goopdate.dll
- %PROGRAM_FILES%\Fraveen 1.4\360-59601.crx
- %PROGRAM_FILES%\Fraveen 1.4\1293297481.mxaddon
- %PROGRAM_FILES%\Fraveen 1.4\f24e4e87-ef91-4694-b2d0-f02ac1a18ed7.crx
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\C3E814D1CB223AFCD58214D14C3B7EAB
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\C3E814D1CB223AFCD58214D14C3B7EAB
- %TEMP%\Cab7.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %PROGRAM_FILES%\Fraveen 1.4\f24e4e87-ef91-4694-b2d0-f02ac1a18ed7-3.exe
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %TEMP%\nsz6.tmp\StdUtils.dll
- %TEMP%\nse5.tmp
- %TEMP%\nsz6.tmp\System.dll
- %TEMP%\nsz6.tmp\InstallerUtils2.dll
- %TEMP%\nsz6.tmp\InstallerUtils.dll
- %TEMP%\nso3.tmp\StdUtils.dll
- %TEMP%\nso3.tmp\System.dll
- %TEMP%\nsd2.tmp
- %TEMP%\nso3.tmp\Ysxleuxu.tmp
- %TEMP%\nso3.tmp\Wwbdhkqgfgwz.exe
- %TEMP%\nso3.tmp\WrapperUtils.dll
- %TEMP%\nsz6.tmp\258696
- %TEMP%\nsz6.tmp\152011
- %PROGRAM_FILES%\Fraveen 1.4\Uninstall.exe
- %TEMP%\comh.50847\GoogleUpdate.exe
- %TEMP%\comh.50847\GoogleCrashHandler.exe
- %PROGRAM_FILES%\Fraveen 1.4\utils.exe
- %TEMP%\nsz6.tmp\md5dll.dll
- %TEMP%\nsz6.tmp\nsisos.dll
- %TEMP%\nsz6.tmp\UserInfo.dll
- %TEMP%\nsz6.tmp\update.json
- %TEMP%\nsz6.tmp\inetc.dll
Удаляет следующие файлы:
- %TEMP%\Cab7.tmp
- %TEMP%\nsz6.tmp\258696
Сетевая активность:
Подключается к:
- 'lo##.##tagenserv.com':80
- 'www.download.windowsupdate.com':80
- 'cr#.#hawte.com':80
- 'up####.datagenserv.com':80
- 'er####.datagenserv.com':80
- 'st###.#atagenserv.com':80
TCP:
Запросы HTTP GET:
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- cr#.#hawte.com/ThawteTimestampingCA.crl
- up####.datagenserv.com/installer_updates/001674/update.json
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
UDP:
- DNS ASK www.download.windowsupdate.com
- DNS ASK cr#.#hawte.com
- DNS ASK ts####.ws.symantec.com
- DNS ASK lo##.##tagenserv.com
- DNS ASK up####.datagenserv.com
- DNS ASK er####.datagenserv.com
- DNS ASK st###.#atagenserv.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
